ISO-IEC 27033-1-2023 中文版 网络安全 第 1 部分：网络安全管理概述与概念

ISO/IEC27033-1:2023中文版网络安全第1部分：网络安全管理概述与概念一、指南编制前言与核心定位ISO/IEC27033-1:2023是国际标准化组织与国际电工委员会联合发布的网络安全系列专用标准总纲性基础权威文件，作为整个ISO/IEC27033网络安全全体系的第一核心分册与顶层统领依据，同时也是ISO/IEC27001信息安全管理体系在网络通信传输层面的专项细化落地标准，专门针对企业网络架构复杂化、内外网络边界模糊化、云网融合组网普及化、网络设备品类繁多运维分散、网络安全治理各自为政、边界防护与内网管控脱节、网络传输数据裸奔风险突出、网络攻击横向扩散蔓延、网络安全管控无统一口径、网络风险识别处置无统一框架等行业普遍性网络治理核心痛点，系统性搭建全球通用、全域组网适配、全网生命周期贯通的网络安全顶层管理架构与统一标准化基础概念体系。随着企业数字化转型深度推进，传统固定物理网络边界逐步瓦解，办公远程化、业务云化、组网混合化、容器微服务网络精细化、工控生产网络与办公网络互联互通常态化，网络已经成为企业业务数据传输、设备互联互通、内外业务交互、系统协同运转、算力调度流转的核心通信底座，传统仅依靠防火墙简单边界隔离、网络设备基础口令防护、事后故障应急处置的粗放式网络防护模式，已经完全无法抵御当前网络端口扫描攻击、网络渗透入侵、内网横向移动攻击、数据传输窃听篡改、网络协议漏洞利用、僵尸网络受控挖矿、跨网域病毒扩散传播等高频高发网络层安全威胁。大量企业因网络安全治理无统一顶层标准、基础概念认知不统一、全网管控框架不健全、网络岗位职责划分不清晰、内网外网防护标准不一致、网络安全与应用存储运维协同不足，出现网络风险排查无依据、安全整改标准不统一、网络攻击溯源难、合规对标不匹配等一系列治理短板，直接影响企业整体信息安全防护体系闭环建设成效。本ISO/IEC27033-1:2023中文版网络安全管理概述与概念指南，严格遵循2023版国际原版标准全部总则性管控条款、专属基础定义规范、顶层治理框架要求与核心指导原则，不删减标准原生网络安全核心概念、不新增非标冗余管控约束内容，完整保留标准初始网络安全治理逻辑与顶层设计思路，同步适配国内《网络安全法》《数据安全法》《个人信息保护法》及网络安全等级保护网络通信安全管控硬性要求、企业网络组网安全建设合规规范，深度衔接企业已落地的信息资产分类分级清单、变更管理控制程序、ISO/IEC27043DevSecOps安全管理指南、ISO/IEC27042容器与云原生安全管理指南、ISO/IEC27040存储安全指南、ISO/IEC27037数字证据取证指南、ISO/IEC27034-1应用安全管理指南等全套内部安全管理体系文件，实现网络安全顶层规划布局、全网概念统一认知、网络治理框架搭建、网安与全领域安全协同管控无缝衔接适配。本指南核心定位为企业网络安全整体治理体系规划搭建、全员网络安全统一认知宣贯、物理与云化网络差异化治理对标、全网安全架构合规建设、网络风险分级管控落地、网络安全合规审计对标、ISO/IEC27033后续网络专项标准实施应用的顶层总纲与基础概念实操依据，摒弃形式化纸面标准照搬解读模式，重在指导组织统一全员网络安全基础认知、规范全网安全治理顶层逻辑、搭建全域一体化网络安全管控框架，为后续网络安全技术加固、网络设备运维管控、网络传输防护优化、网络安全风险处置整改筑牢坚实概念根基与治理底座，构建网络内生安全、全网统一管控、内外网协同防护、风险动态闭环可控的现代化网络安全治理全新格局。二、指南适用范围与内外体系适配对接本ISO/IEC27033-1:2023中文版网络安全管理概述与概念指南全域适用于各类企事业单位、数字化转型建设主体、互联网业务运营平台、金融医疗政务关键信息基础设施行业机构、工控生产制造组网运营单位、人工智能算力网络调度组织及所有规划建设、运维管理、日常运营、迭代升级各类企业组网架构与网络设备的全部组织主体，覆盖企业高层安全决策管理部门、安全风控合规网络安全统筹部门、网络运维管理专职团队、数据中心组网运维团队、云原生容器网络运维团队、业务系统运营管理部门、外协网络设备供应商及组网施工协作单位、网络安全审计督查机构全层级管理与协同配合主体。在网络组网类型与部署运行场景覆盖层面，全面适配企业传统物理局域网LAN、广域网WAN、园区网办公组网、数据中心核心交换网络、工控生产专用隔离网络、公有云私有云混合云虚拟网络、容器集群微服务轻量化网络、远程办公接入VPN网络、边缘节点轻量化接入网络、专线互联跨区域组网等全类型网络架构形态，涵盖网络规划设计选型阶段、网络设备采购入网部署阶段、网络策略配置基线加固阶段、全网日常运行运维阶段、网络架构扩容迭代调整阶段、网络老旧设备下线退役组网重构阶段全网络生命周期管理场景，兼顾物理硬件组网、逻辑虚拟组网、云化弹性组网各类部署模式下的网络安全顶层治理与基础概念统一规范化管理工作。在管理工作流程适配层面，适用于企业网络安全整体治理体系初次规划搭建、全员网络安全基础概念统一培训宣贯、网络安全管理组织岗位职责划分、全网安全总体管控策略制定发布、物理网络与云网络差异化安全管控规则对标、网络安全与DevSecOps及应用安全流程融合规划、网络安全风险分级管控顶层设计、网络安全合规对标自查整改优化、网络安全年度整体规划复盘提升等所有网络安全顶层管理核心工作，所有参与网络规划决策、网络设备运维值守、网络策略配置调整、网络组网采购选型、网络安全合规核查、网络架构迭代变更的在岗工作人员及各级管理岗位，均需严格遵照本指南概述要求与基础概念规范严格执行，所有物理网络、云化网络、容器网络、工控网络无例外、无豁免，全部纳入ISO/IEC27033标准统一网络安全治理框架管控范畴。本指南深度对接各类外部合规监管体系与企业内部既有管理体系文件，外部严格契合国家网络安全等级保护网络通信和边界防护硬性要求、关键信息基础设施网络安全保护规范、网络数据传输安全管理相关规定、网络安全风险评估行业标准，确保企业所有网络安全顶层治理设计、基础概念认知普及、全网管控框架搭建完全符合监管常态化核查与专项合规检查底线要求；内部全面衔接企业信息资产分类分级清单模板、变更管理控制程序、ISO/IEC27043DevSecOps安全管理指南、ISO/IEC27042容器与云原生安全管理指南、ISO/IEC27040存储安全指南、ISO/IEC27037数字证据识别收集保存指南、ISO/IEC27034-1应用安全管理指南、网络安全应急响应处置预案等既有体系文件，明确网络安全分级管控顶层匹配规则、网络安全与运维研发应用协同管理机制、云原生容器网络安全衔接治理要求、网络安全攻击事件取证联动处置规则，确保网络安全顶层概述与基础概念管理工作和企业现有资产管控、漏洞治理、云原生防护、存储安全、应用安全、数字取证各项工作无缝衔接、一体化协同推进，不重复建设安全管理体系、不出现网络安全治理与其他安全模块脱节断层、不产生网络边界及内网管控盲区，形成网络安全、基础设施安全、应用安全、研发运营安全、云原生容器安全、数据存储安全、数字取证安全全域一体化综合安全治理格局。三、核心专属标准术语与网络安全基础核心概念定义网络安全：指依据ISO/IEC27033-1:2023标准顶层治理要求，针对企业各类物理及虚拟网络架构、网络硬件设备、网络逻辑策略、网络传输链路、网络接入终端及全网承载传输的各类业务数据，从网络规划建设、设备部署配置、日常运维运营、架构迭代扩容、老旧组网重构退役全生命周期，通过组织管理规范、制度流程约束、技术防护部署、风险排查处置、安全审计监督等一系列综合管控手段，防范网络设备漏洞缺陷、网络策略配置违规、网络越权接入访问、网络传输数据窃听篡改、网络渗透入侵攻击、内网横向扩散威胁、网络运维操作违规等各类网络安全隐患，保障网络架构稳定运行、网络通信传输安全可控、全网接入访问合法合规、网络业务流转持续畅通的综合性网络内生安全管理体系，区别于应用层安全与存储介质安全，聚焦网络通信链路、网络设备载体、网络策略规则、网络接入交互四大核心防护维度。网络架构：指企业各类物理交换机、路由器、防火墙、负载均衡、网关设备及云虚拟交换机、虚拟路由器、容器网络插件等软硬件组合形成的全网拓扑组网结构，是实现设备互联、数据传输、业务互通的基础网络载体，也是网络安全管控的核心基础对象，涵盖传统物理刚性组网与云原生弹性动态组网两大类核心形态。网络组织安全框架：指ISO/IEC27033-1:2023标准定义的企业网络安全顶层核心治理架构，是组织统一制定、全网集中管控、所有网络场景全域适用的网络安全策略集合、设备安全基线、运维管理规范、合规管控要求总合集，作为企业所有网络设备及组网架构安全管理的统一基准依据，确保全网网络安全治理标准统一、管理口径统一、落地执行统一。网络专项安全框架：指基于网络组织安全框架衍生细化适配，针对工控生产网络、办公办公网络、云化业务网络、容器微服务网络等单类网络场景量身定制的专项安全管控细则，结合网络承载业务重要等级、传输数据敏感程度、网络对外暴露风险等级差异化适配通用安全基线要求，兼顾网络业务传输运行效率与专属网络安全防护刚需。网络安全控制措施：指为实现全网安全防护核心目标，针对网络规划建设、设备入网配置、日常运维管控、架构迭代变更全流程制定的管理类、技术类、流程类安全管控手段与防护规则，涵盖网络边界隔离防护、内网访问控制、网络端口收敛、网络协议加固、传输数据加密、网络运维审计、网络漏洞整改等全类型网络防护实操动作，是网络安全落地执行的具体实操依据。网络全生命周期安全：指将网络安全管控要求原生融入网络规划、设计建设、设备部署、策略配置、运行运维、迭代扩容、组网重构、下线退役全部阶段，摒弃网络建设在先、安全补救在后的被动防护老旧模式，推行网络安全规划左移、源头前置管控的核心网络安全治理理念。物理网络安全：指企业线下实体硬件组网专属安全管控范畴，重点管控物理网络设备硬件安全、机房组网环境安全、物理端口接入安全、有线传输链路安全、物理设备运维操作安全等实体网络原生安全风险。云虚拟网络安全：指云平台虚拟组网、容器集群网络、远程接入虚拟专网专属安全管控范畴，重点管控云网络多租户隔离安全、虚拟策略权限管控、容器网络微隔离防护、远程接入身份校验、云网络传输加密等虚拟化网络供应链与逻辑配置安全风险。网络内生防护：指安全防护能力内嵌于网络架构设计与网络设备底层配置，依靠网络自身隔离策略、访问控制、安全基线抵御内外网络攻击与违规接入操作，而非单纯依赖外挂安全设备叠加防护的核心ISO/IEC27033标准治理理念。网络安全风险：指网络架构设计存在缺陷、网络设备存在安全漏洞、网络策略配置粗放宽松、网络端口协议开放过多、网络运维管理不规范等问题，被内外恶意人员利用，造成网络瘫痪中断、业务传输受阻、数据传输泄露篡改、内网恶意横向渗透、合规监管处罚等各类安全危害的可能性与影响程度总和。网络安全合规对标：指组织全网安全管理体系、管控措施、基础管理要求对标ISO/IEC27033系列标准及国内网络安全监管合规要求，完成制度适配、网络整改、防护落地、审计达标的全流程合规管理工作。四、ISO/IEC27033-1:2023六大顶层核心治理基本原则本标准作为网络安全全系列标准总纲，企业所有网络安全顶层规划设计、基础概念落地普及、全网治理体系搭建、网络安全决策部署、网络管控实施运营工作必须严格遵循六大刚性顶层核心治理基本原则，任何网络安全管理策略制定、岗位职责划分、组网流程设计、网络管控规则调整均不得偏离基础准则，保障企业网络安全治理架构科学规范、全员概念认知统一标准、落地实施适配业务发展、全网长效运营动态安全可控。第一，统一框架、全网统筹原则，组织必须搭建唯一全域统一的网络安全组织治理框架，企业所有物理办公网络、工控生产网络、云化虚拟网络、容器微服务网络、远程接入网络全部对标同一套顶层网络安全基准管控要求，杜绝不同部门各自制定网络安全规则、组网防护标准杂乱不一、网络运维各自为政的碎片化治理乱象，实现全企业全网网络安全治理一盘棋、管控标准一体化。第二，内生防护、规划左移原则，彻底改变传统网络安全重边界防护轻内网加固、重运维补救轻规划设计的老旧防护模式，坚持网络安全规划左移核心治理理念，将安全管控要求前置融入网络架构规划设计与设备采购入网源头阶段，从网络拓扑、策略基线、端口协议底层消减网络安全漏洞与架构缺陷，筑牢网络内生安全防护根基，从源头大幅降低后续网络运维阶段安全治理压力。第三，分级分类、网域差异原则，结合企业信息资产四级分类分级标准，按照网络承载业务重要程度、网络传输数据敏感等级、网络对外暴露攻击风险级别实行差异化网络安全治理强度与管控标准，核心涉密工控及核心业务网络执行最严苛安全管控要求，基础办公通用网络适度简化适配管控流程，平衡企业业务网络快速传输运转需求与网络安全刚性防护管控要求。第四，全网协同、网安研运一体原则，坚持网络运维、安全风控、业务运营三方协同治理理念，打通网络运维与安全防护、业务应用运行协同管控通道，消除网络运维重组网稳定轻安全整改、安全部门重管控规范轻业务适配、业务部门重传输效率轻网络安全的部门壁垒，实现网络建设规划、运维运营管理、安全防护整改三方工作同步规划、同步实施、同步整改、同步复盘优化。第五，全程留痕、全网可溯原则，所有网络安全顶层策略制定、网络设备配置调整、网络策略权限变更、网络漏洞整改修复、网络架构迭代扩容、网络设备下线退役全流程运维操作全程日志记录留痕、资料归档长期留存，做到网络安全攻击事件可精准追溯、网络违规操作可审计核查、网络安全责任可定岗追责，满足合规审计对标与网络安全应急溯源处置双重硬性要求。第六，动态迭代、持续优化原则，网络安全治理不采用静态固化不变的管理模式，随着企业网络架构持续云化迭代、新型网络攻击手段不断演变升级、业务组网规模持续扩容、容器及边缘网络不断新增接入，常态化优化网络安全顶层治理框架、组网管控规范、安全防护策略基线，持续适配ISO/IEC27033-1:2023标准最新治理管控要求，保持企业全网网络安全治理体系长效适配、动态防护、持续安全可控。五、网络安全管理组织架构与全岗位顶层安全职责划分组织需依据ISO/IEC27033-1:2023标准顶层治理架构要求，搭建层级清晰、权责定岗到人、网安运维业务三方协同、全网全域统一管控的网络安全专项治理组织架构，涵盖高层决策管理层、安全风控合规网络安全统筹部门、全网专职网络运维管理团队、数据中心核心组网运维团队、云原生容器网络运维团队、业务应用运营使用管理部门、外协网络设备供应商及组网协作单位七大核心责任主体，各司其职、协同履职，压实企业网络安全顶层规划、概念落地普及、体系建设搭建、全网日常运维管控全生命周期主体安全责任。企业高层决策管理层承担网络安全治理顶层决策统筹核心职责，负责审批企业整体网络安全中长期建设发展规划、全网统一网络安全组织规范治理框架、网络安全防护建设资源预算调配、核心关键业务及工控网络重大安全整改优化方案、网络安全重大安全事故追责处置决定，统筹协调网络运维、安全风控、业务运营跨部门网络安全协同治理重大问题，对企业全网整体网络安全治理成效负总责，定期听取网络安全年度复盘工作报告，推动网络安全治理体系持续优化升级，保障企业业务网络高效传输运转发展与网络安全合规管控协同平衡。安全风控合规网络安全统筹部门作为网络安全专项治理牵头统筹部门，负责对标ISO/IEC27033-1:2023标准完善企业网络安全顶层管理制度、统一全网网络安全基础概念全员宣贯、搭建网络组织安全框架与各类网络专项细分规范框架、制定全网网络安全分级管控基线标准、统筹全网网络安全风险评估与合规对标自查工作；组织全员网络安全基础概念培训与安全警示教育、常态化网络安全巡检核查与年度合规审计对标工作；精准判定各类网络组网安全风险等级与漏洞整改优先级；监督网络运维部门网络安全整改落实进度与整改验收质量；对接监管部门网络安全合规核查迎检专项工作；归档所有网络安全顶层治理与全网日常运维管控全流程台账资料，常态化核查网络安全违规管理、违规配置操作行为并依规开展追责问责工作。全网专职网络运维管理团队承担企业物理及基础办公网络运维实操安全主体职责，严格遵循网络安全规划左移与内生防护核心原则，按照全网统一网络安全治理规范框架开展网络拓扑规划优化、网络设备入网配置加固、网络策略精细化调整、网络端口协议收敛管控工作；严格落实网络安全基线配置规范，杜绝网络高危漏洞留存、默认弱口令配置、冗余端口开放、违规策略放行等源头网络安全隐患；配合安全风控部门完成全网网络安全扫描检测、漏洞整改闭环、网络变更安全核验工作，严禁未经过安全审批、未完成漏洞整改的网络配置变更及组网调整上线运行，从网络运维源头筑牢全网物理组网安全根基。数据中心核心组网运维团队承担数据中心核心交换、核心路由、服务器互联专网运维安全主体职责，负责数据中心核心网络设备日常运行监控、核心网络权限严格管控、核心组网安全配置常态化维护、核心网络高危漏洞优先整改、核心网络异常流量及时处置工作；严格遵循网络安全最小访问权限原则配置核心网络访问策略，严禁私自修改核心网络安全基线配置、放宽核心网络访问权限、绕过安全审批流程调整核心组网架构；数据中心网络架构迭代扩容变更严格遵循企业变更管理控制程序，提交对应安全审批核验；配合安全部门开展核心网络安全复测、网络安全应急处置工作，保障数据中心核心网络持续安全稳定运行。云原生容器网络运维团队承担云化虚拟网络与容器集群微服务网络专项安全职责，联动ISO/IEC27042容器与云原生安全管理指南，负责云平台虚拟组网、容器集群专属网络专项运维安全管控，落实云网络多租户隔离、容器网络微隔离专属安全规范与防护要求，做好云原生网络安全与容器集群整体安全协同治理工作。业务应用运营使用管理部门承担业务网络使用需求提报与日常合规使用职责，提报网络新建扩容、组网调整、专线接入需求时同步明确网络安全合规硬性要求，不强制要求违规放宽网络安全策略、跳过网络安全审批与安全复测流程，日常规范使用业务网络资源，不违规私自接入未知设备、不擅自修改终端网络配置、不开展违规网络外联操作。外协网络设备供应商及组网协作单位需严格按照本组织全网网络安全统一规范框架要求，做好网络设备硬件维保、网络设备漏洞及时修复、组网施工安全管控、网络设备版本安全升级迭代工作，定期同步网络设备安全运维报告与漏洞整改闭环情况，配合我方开展全网网络安全核验与网络安全应急协同处置工作，对网络设备原生安全缺陷及组网施工安全风险按照合作协议承担对应安全责任。六、ISO/IEC27033-1:2023网络安全标准化顶层全周期治理逻辑按照ISO/IEC27033-1:2023标准总则核心顶层治理逻辑，企业全网网络安全管理严格执行网络安全统一框架规划搭建、全员网络基础概念统一宣贯、全网网络资产全面摸排梳理、网络组网分级分类顶层定级、网络安全管控规则细化适配、网络规划建设源头安全前置、全网运行运维常态安全防护、网络架构迭代变更安全管控、网络安全年度审计复盘优化、老旧网络下线重构安全闭环十大标准化顶层治理闭环环节，环环相扣、全程内嵌网络安全管控核心理念、不留全网网络安全顶层治理断点，实现安全治理逻辑贯穿网络体系规划、概念统一、日常运维管控、架构迭代优化、老旧组网下线重构全流程。第一环节为网络安全统一框架规划搭建，企业依据ISO/IEC27033-1标准总则核心治理要求，结合自身全网组网现状与业务发展需求，搭建企业全域统一的网络安全组织规范顶层治理框架，明确全网统一网络安全治理标准、核心管控方向与合规红线底线，框架未评审验收落地不得开展后续任何网络安全细化管控与组网调整工作，筑牢企业全网网络安全治理顶层根基。第二环节为全员网络安全基础概念统一宣贯，针对企业高层管理、安全风控、网络运维、业务运营、研发运维所有在岗人员，开展ISO/IEC27033-1标准网络安全基础概念、六大核心原则、全网治理逻辑专项培训宣贯，统一全员网络安全认知口径，消除不同岗位、不同部门之间网络安全认知偏差，确保所有工作人员深度理解网络安全内生防护与规划左移管控核心要义。第三环节为全网网络资产全面摸排底数梳理，全面清查企业物理网络设备、云虚拟网络资源、容器网络组件、工控网络设备、远程接入网络设施等全量网络资产，建立全网网络安全专项资产台账，明确每一套组网架构部署位置、承载业务用途、传输数据等级、网络安全风险现状，做到全网网络资产底数清晰、风险情况明了、安全管控全覆盖无死角无遗漏。第四环节为网络组网分级分类顶层安全定级，依据企业信息资产四级分级管理标准对所有网络组网完成安全等级定级，划分核心涉密工控网络、核心重要业务网络、常规办公业务网络、基础通用辅助网络四级网络安全等级，为后续全网差异化安全管控治理提供精准定级依据，杜绝网络安全治理一刀切粗放管理模式。第五环节为网络安全管控规则细化适配，基于全网统一顶层治理框架与网络组网安全定级结果，为不同安全等级网络细化专属网络专项安全规范框架，差异化适配各类网络规划建设、运维管理、漏洞整改、迭代变更安全管控要求，兼顾网络安全高强度防护与业务网络高效运营传输效率。第六环节为网络规划建设源头安全前置管控，严格落实网络安全规划左移核心理念，将网络安全硬性防护要求前置融入网络拓扑规划、设备采购选型、组网部署建设、策略初始配置全源头阶段，从网络底层消减网络架构缺陷与设备安全漏洞隐患。第七环节为全网运行运维常态安全防护，网络组网正式投入生产运行后，常态化开展全网网络漏洞安全扫描、网络异常流量安全监测、网络访问权限定期复核、网络运维操作日志审计留存工作，及时快速处置网络运行阶段各类安全风险与违规异常访问行为。第八环节为网络架构迭代变更安全闭环管控，网络设备版本升级、组网拓扑调整、网络策略优化、专线扩容接入等迭代变更工作，严格履行变更安全审批、网络安全复测、漏洞扫描整改闭环流程，杜绝网络迭代变更跳过安全管控环节引入新增网络安全隐患。第九环节为网络安全年度审计复盘优化，每年对标ISO/IEC27033-1标准开展全网网络安全合规专项审计工作，梳理网络安全治理薄弱短板与管控不足之处，优化网络安全顶层治理框架与专项管控规则，持续完善企业全网网络安全综合治理体系。第十环节为老旧网络下线重构安全闭环处置，老旧网络设备报废、组网架构重构退役阶段，做好网络数据传输业务迁移、网络权限账号注销、网络配置归档留存、老旧设备安全处置工作，完成企业网络全生命周期安全治理最后一环闭环管控。七、网络组网四级分级差异化顶层安全管控基准要求依据ISO/IEC27033-1:2023标准差异化风险治理核心导向，结合企业信息资产四级分类分级管理体系，对核心涉密工控网络、核心重要业务网络、常规一般办公业务网络、基础通用辅助网络实行四级差异化顶层网络安全管控基准，匹配不同治理严格程度、安全审批层级、组网建设管控强度、网络运维审计频次、网络漏洞整改处置优先级，适配不同网络承载业务价值与传输数据安全防护刚需，平衡网络安全治理严谨规范度与业务网络迭代运营传输效率，不搞全网同质化一刀切粗放网络治理模式。核心涉密工控网络涵盖企业生产工控核心控制组网、涉密业务数据专用传输网络、核心AI算力调度专属组网、关键生产设备互联核心网络，属于网络安全最高管控等级，适用ISO/IEC27033标准最严苛顶层治理基准，网络安全框架专项深度定制适配工控涉密防护需求、网络规划建设多重安全审核与组网拓扑专项安全评审、网络设备入网全量安全渗透测试、网络运行阶段7×24小时实时流量安全监测、每日网络安全基线合规复测、所有高危及中危网络漏洞即刻停工整改闭环复测、网络架构迭代变更企业高层终审审批、网络运维操作全程双人复核审计留痕，绝不允许涉密工控核心网络带任何安全隐患运行，严防核心工控涉密网络被攻击入侵、内网横向渗透、生产业务失控、涉密数据传输泄露等重大网络安全事故发生。核心重要业务网络涵盖企业主营业务交易传输网络、客户核心服务运营组网、财务资金核算专用网络、AI业务推理服务传输网络，属于网络安全高管控等级，适用强化版网络安全治理基准，网络安全框架标准化专项适配业务防护需求、网络规划建设自动化安全扫描加组网重点环节专项核查、网络设备入网前常规安全渗透测试、网络运行阶段全天候安全监测每周合规复测、高危网络漏洞强制立即整改闭环、中危网络漏洞限期整改清零、网络架构迭代变更安全部门与分管领导双重审批、网络运维操作全程审计留痕存档，严控核心业务网络安全各类风险隐患，平衡核心业务网络快速迭代传输需求与高强度网络安全防护管控刚性要求。常规一般办公业务网络涵盖部门级办公业务管理组网、非核心数据统计传输网络、通用轻量化办公业务流程组网，属于网络安全中低管控等级，适用标准版常规网络治理基准，简化网络框架专项定制评审流程、网络规划建设基础自动化安全扫描核验、网络设备入网前基础安全合规核验、高危网络漏洞必须整改闭环、中低危网络漏洞纳入月度批量整改闭环、网络架构迭代变更部门级审批即可、每月网络安全常规复测达标即可，适度简化管控流程提升常规办公业务网络迭代运营传输效率。基础通用辅助网络涵盖企业日常办公普通互联网络、内部通知流转传输组网、轻量化办公辅助设备接入网络，属于网络安全低管控等级，适用简化基础网络治理基准，仅落实网络安全基础框架适配、基础网络端口与权限管控、定期基础网络漏洞排查整改基础安全要求，无需高强度安全审核与高频合规复测，落实网络安全基础合规底线即可，最大程度降低网络安全治理人力运维成本，聚焦核心涉密工控及重要业务网络安全专项治理工作。八、物理与云化两类网络专项差异化基础治理规范ISO/IEC27033-1:2023作为网络安全全体系总纲，重点明确物理实体组网与云原生虚拟组网两类核心网络形态必须实行专项差异化基础治理规范，针对性解决两类网络安全风险来源不同、治理责任主体不同、管控落地实施方式不同的差异化治理痛点，消除不同类型网络安全治理管控盲区，实现企业全品类、全形态网络安全治理全覆盖无死角。物理实体网络专项基础治理方面，严格遵循网络安全规划左移与内生防护核心理念，治理重心放在物理组网规划建设、硬件设备安全管控、物理边界隔离防护三大核心环节，企业依托专职网络运维团队，严格按照全网统一网络安全组织规范框架制定物理网络专属运维安全管理规范，明确物理网络拓扑安全设计标准、物理设备安全基线配置要求、物理端口接入管控规则、物理网络运维操作安全规范，物理网络建设规划全过程同步内嵌安全管控要求，从物理组网搭建源头规避硬件设备漏洞、物理端口违规接入、网络基线配置薄弱、物理链路监听窃听等实体网络内生安全隐患；物理网络所有组网扩容调整、设备新增替换、线路改造变更必须同步开展网络安全复测与漏洞扫描整改，未达标不得正式入网承载业务传输；运维阶段强化物理网络边界精细化隔离、内网访问权限严格管控、运维操作日志全程留存、网络漏洞常态化整改闭环，物理实体网络安全治理全程由企业网络运维与安全风控部门主体负责，全网全程可控、全程可管、全程可整改优化，深度联动ISO/IEC27040存储安全指南、ISO/IEC27034-1应用安全管理指南实现基础设施与应用网络安全一体化协同治理。云原生虚拟网络专项基础治理方面，治理重心放在云网络租户准入管控、虚拟网络前置安全核查、容器网络微隔离防护、云网络协同整改管控四大核心环节，企业在云服务商选型准入阶段，严格按照全网网络安全统一治理框架要求核查云服务商网络安全运维资质、云虚拟网络安全防护能力、过往云网络安全隐患处置记录，建立云网络服务安全准入黑名单，网络安全管控不达标云服务商严禁合作接入；云虚拟网络及容器网络上线部署前必须开展专项网络安全检测、虚拟策略漏洞扫描、网络越权访问排查工作，检测不合格、漏洞未整改闭环的云网络及容器网络严禁上线承载业务运行；网络运维阶段，企业与云服务商签订云网络安全专项约束合作协议，明确云网络漏洞修复时限、虚拟策略安全加固要求、网络安全应急协同处置责任，督促云服务商及时修复云虚拟网络原生安全漏洞，我方安全风控部门常态化开展云网络安全抽查核验工作，严防云网络多租户越权访问、虚拟策略配置违规、容器网络横向渗透、云端数据传输泄露等